近年来，在信息技术支撑下，数据经济驱动着全球各经济体的经济总量不断增加，“数据安全”也已上升到我国国家安全战略高度。政府部门和企业持续加大在数据治理、数据存储、数据保护、数据加密等方面的重视程度和投资力度。作者将基于在业务场景中遇到的数据安全治理问题，帮助大家理解“数据安全”概念，并向大家分享在数据安全治理过程中所采用的工具手段和思维思路。

　　首先和大家介绍一下本文分享范围内的安全概念，了解什么是数据安全、数据全生命周期，以及安全4A/5A理论。

　　其实在一个公司里面，安全的概念非常的广泛，例如公司内部会将整个公司的安全分为几个领域：政治安全、声誉安全、法规安全、公共安全、财务安全、金融安全、信息安全、业务安全、内容安全。我们看到数据安全属于信息安全的一个子模块。

　　针对数据安全，我们要解决的问题是，在整个数据生命周期中，从采集到销毁过程中所面临的全部数据安全挑战。换句话说，数据安全就是保障数据从采集到销毁的全生命周期中的一切操作符合国家和公司的安全法规。

　　行业中比较认可的分类方法为身份认证、授权及访问控制、行为审计、资产保护这4A。通过以上4A理论，可以将数据全生命周期中涉及到的安全问题拆分为这四个业务场景，如果将四个业务问题管控好，结合铺展到位的数据安全建设工具和第三方监察审计部门对数据资产进行监察，整个过程会形成一个完整的数据安全保护闭环。

　　目前绝大多数做数据安全相关工作的人，主要集中在账号管理-数据采集传输和安全审计-应用消费层面（例如数据人物画像、分析工具、数据加工生产等），其中在授权管理模块会花费70%~80%的精力。

　　上图中的数据安全建设目标是参考亚马逊的定义，即数据安全会经历三个阶段：不信任外网→不信任内网→0信任，其含义为：

　　不信任外网：公司的资产和数据只对内部员工开放，外部员工没有经过公司身份认证无法访问公司的数据；

　　不信任内网：对于公司内部的数据会进行分级分类，根据公司内部员工的职责、岗位和分类去细分权限；

　　0信任：数据在不经过数据所有人或产权人授权的情况下，无人能够拿到这个数据。

　　目前绝大部分公司能做好外网隔离，即不信任外网，已是非常不容易，也是性价比最高的建设目标。

　　接下来将从身份认证、权限管控、资产保护以及综合实践来介绍数据安全的工具框架。

　　身份认证包含账号和认证两个部分。以下通过这两部分的设计和实践，分别阐述其搭建思维和方法。

　　在做身份认证之前，最基础的工作便是完成账号设计，搭建账号系统。我们可以将账号进行分类，包括自然人账号，组织账号，角色账号，部门账号，应用账号，还有一些比较小众的其他账号，以便实现安全管控的前提——准确无误的识别出访问主体。数据安全第一个条件就是要建立起清晰可信准确的账号体系。

　　自然人账号：包含岗位、职级、合同类型以及其他属性等基本信息的账号，可以清晰地区分出公司内不同类型的员工。

　　组织账号：通过组织身份或者业务线形态对系统进行访问，组织内部通常是多种详细分工角色的集合，需要在底层建设时就搭建好框架。

　　应用/服务账号：通过APP/服务进行数据访问，也通过该账号来进行后续的消费和应用。

　　当我们设计好账号，搭建好系统，便可以进入实践步骤。在安全中心中，有账号申请模块，即账号注册工具，其功能为：在信息安全部以及IT支持部门，录入信息，生成SSO，完成基础服务支持。

　　身份认证的第二个部分是认证。认证方式有密码认证、微信/支付号第三方认证、电话/邮件验证码认证等方式。这些认证方式的底层结构都和上图流程图类似，分三个系统：SSO、应用系统、权限系统：

　　应用系统：用户通过一个应用系统登录，应用系统会分别与SSO和权限系统交互，获取用户信息和数据权限信息，并将有权限的数据内容返回给用户。

　　SSO：单点登录系统的加密存储用户信息数据库，主要存储用户的账号密码等用户信息。

　　权限系统：用于查看申请数据内容的用户是否有请求该数据内容的权限，会给应用系统返回鉴定结果。

　　在实践中，可以通过合理设置SSO实现“0信任”的方式，来解决例如第三方BD需登录商家后台去帮助商家处理问题存在的潜在安全问题。

　　具体的可以设置多方SSO：内部员工SSO、第三方合作商BSSO、外部用户CSSO。然后第三方BD通过BSSO认证系统登录并申请外部用户的短信认证，以此取代传统使用商家的账号密码去登录的方式，做到“0信任”，降低安全风险。

　　当我们要对一个业务系统进行访问和操作时，要经过权限管控环节，在该环节声明用户与权限的关系。将介绍它的几个迭代模型和实践示例。

　　权限管控模型先后经历了三个时期：ACL模型、RBAC模型、ABAC模型：

　　ACL模型：即Access Control List，直接维护列表中用户与资源的关系从而达到权限管控的目的。缺点是随着业务体量的增加，职级岗位复杂度提高，数据量增加，该模型的效率低下。

　　RBAC模型：即Role-Based Access Control，基于角色的访问控制，将用户添加到角色列表从而间接获得对应的权限。将角色和权限建立权限关系，用户和权限形成间接的关系，在ACL模型的基础上，提高了效率。

　　ABAC模型：即Attribute-Based Access Control，基于属性的授权，通过事先定义好的规则属性来控制用户的权限范围。与RBAC模型相比，其定义空间更大，可以抽象出更具体和差异化的控制条件，建立属性与权限的权限关系。

　　上图是一个基于ABAC权限模型改良的TRFAC模型设计的权限产品DEMO，包含获权方和资源列表。获权方可以是用户、用户组、角色、部门、应用和其他，还可以增加一些附属条件。该模型基于“对象-资源-条件-行为”的权限控制，描述了“xx对象（人/应用/组织/角色等）对xx资源（页面/菜单/按钮/数据等）在xx条件/因素（城市=北京等）下拥有xx行为类型（增删改查等）的权限”。

　　上图即为TRFAC模型权限系统健全的流程，需方和供方分别使用业务系统和权限中心以API为桥梁接口进行交互，互相传输请求和返回结果。

　　为防止有权限的用户将数据不合规的泄露和传播，需要建立资产保护体系，以下介绍资产保护模块的设计思路和实践示例。

　　离职转岗交接平台：80%的数据安全case都发生在离职转岗环节，设计专门的针对角色、权限、任务、各类型资产的交接回收平台能极大降低风险发生的可能性。

　　敏感数据识别：有利于我们及时发现诸如电话、身份证号等敏感数据，及时对识别出的数据做出标记和升级，就能堵住可能的泄露风险。其实现方法主要是底层算法逻辑结合前端界面，然后根据目标数据库进行敏感数据识别。

　　在事中监控环节，是在事前预防的敏感数据识别和敏感数据脱敏展示/下载配置好的基础上，进行监控。针对高风险人群（比如待离职人员、外包账号、实习生等）和高风险行为（敏感数据下载和查询）配置监控规则，设置阈值，感知风险并阻止风险。

　　事中监控一旦检测到风险或者安全风险已经发生，通过设计审计日志查询工具对风险进行追责以及及时堵住安全漏洞。

　　上面介绍了身份认证、权限管控和资产保护，在现实业务中往往是复杂的综合性业务问题，因此以下将介绍从数据的采集、存储、生产、加工、治理，到数据的应用、分析、服务，即加工层到应用层的框架模型。

　　在实际业务场景中，往往不是单一的账号、认证、权限等管控需求，而是综合了账号、认证、权限、隔离等交叉需求的综合场景，比如加工层的“账号-工作空间-项目空间”的三级划分结构。又比如应用层SaaS系统中超级餐饮连锁企业使用的CRM系统。

　　工作空间：面向不同岗位角色（分析师、产品、RD等），集成各类分场景工具，提供相应的分析、加工和应用服务能力的虚拟综合工作场所，用户可以按照自己的岗位属性选择相应场景的工具和数据开展工作；

　　项目组：工作空间的组成单元，划分了数据存储、计算资源，整合了权限、数据资产，将相同发任务的人员集合一个组，共同进行数据生产、加工和治理；项目组内根据需求还可以进一步细分出角色和权限分配。

　　当遇到不同业务线，具有不同的组织架构划分，有时候细化出不同的角色时，我们就需要采用应用层，是工作空间制下，由业务线组织决策分类管控的体系。

　　应用层的一个典型特点就是组织层级复杂，角色多样，比如类似于麦当劳这种国际超级餐饮企业，从“全球总部-大区总部-区域总代-门店”划分出多级组织体系，同时又有直营和加盟等不同组织性质，所以数据中台为了满足这类业务团队关于组织账号和权限的需求时，就需要考虑组织-角色的多级体系。同时，一个角色在不同组织所拥有的权限也是不一样的。

　　灵魂三问：你为什么要做数据安全建设？你为谁做数据安全建设？你做数据安全有什么价值？

　　回答：数据安全不仅是在保护数据不泄露，其终极目标是在保障数据流通的安全性，促进数据的共享和流通，让数据为业务赋能！

　　安全治理的重要性不言而喻，其实施策略主要分为下列几步：标准立法、工具支持、运营第三方数据安全治理。

　　安全治理的第一步为标准立法，需要借助国家的安全法规和企业建立的相应的安全规范，满足数据全生命周期各个环节的标准和数据应用环节的标准。

　　其次安全中心会提供一整套包括权限服务、资产交接、流程服务、安全监察、数据流通等工具。整合分散产品，集合权限服务、流程服务、离职转岗服务、安全审计服务、数据流通服务几大方面能力的工具平台，提供综合化安全管控治理服务。

　　最后一个模块为运营第三方数据安全治理，主要分为四大块：组织保障、落地路径、运营策略和基础保障。

　　特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。

　　“不再欢迎大规模游客”，巴厘岛拟出招：要来提前1年登记！曾年接待120万中国人，数天前发生命案

　　克伦民族联盟/克伦民族解放军和平委员会总司令因压力过大用手雷自杀视频曝光

　　大反转!妻子花200万请律师辩护,不肯归还2.7亿,李铁恐将牢底坐穿?

　　Gurman：苹果iPhone 16 Pro/Max必然会采用固态按钮

　　三星Galaxy S23 Ultra将推送新版本升级，为相机增加新功能